Kafka Admin客户端listTopics超时致死信队列Topic创建失败

该报错本质是Kafka Connect初始化死信队列时，内置的Admin客户端无法和MSK集群完成正常通信，触发listTopics调用超时断开，结合你使用SASL_SSL+AWS_MSK_IAM认证的场景，常见原因如下：

• 未给死信队列的Admin客户端单独配置IAM认证参数
  Kafka Connect不会自动给死信队列使用的Admin客户端继承连接器配置的通用安全参数，这是该场景下最高发的坑。未配置认证参数时，Admin发起的请求会被MSK Broker直接拒绝，最终表现为连接断开、调用超时。
  需要在连接器配置中补充Admin客户端的全量认证参数，和生产/消费端的认证配置保持一致：

  errors.deadletterqueue.security.protocol=SASL_SSL
  errors.deadletterqueue.sasl.mechanism=AWS_MSK_IAM
  errors.deadletterqueue.sasl.jaas.config=software.amazon.msk.auth.iam.IAMLoginModule required;
  errors.deadletterqueue.sasl.client.callback.handler.class=software.amazon.msk.auth.iam.IAMClientCallbackHandler
  

• 死信队列副本因子配置无效
  你当前设置的errors.deadletterqueue.topic.replication.factor=-1为非法值，MSK集群副本因子最小为1（单节点测试集群），生产集群通常为3。非法副本因子会导致DLQ Topic创建逻辑卡住，部分Connect版本会将该问题误报为listTopics调用超时，直接改成匹配集群规模的有效值即可。
• 网络访问策略拦截
  检查运行Kafka Connect的节点所属安全组，是否放通到MSK所有Broker的9098端口（AWS_MSK_IAM认证默认的SASL_SSL端口），同时确认MSK集群的安全组允许来自Connect节点的入站请求。跨VPC/跨账号部署场景下，还要检查VPC对等连接、路由表、PrivateLink配置是否存在丢包。
• IAM身份权限缺失
  确认Connect运行时使用的IAM身份（EC2实例角色、配置的AK/SK相应用户），是否包含对应Kafka操作权限：至少需要kafka-cluster:DescribeTopic（对应listTopics调用）、kafka-cluster:CreateTopic（DLQ Topic不存在时自动创建）权限，且权限资源范围覆盖MSK集群和你配置的error_topic。
• Bootstrap Server地址配置错误
  确认连接器中配置的MSK Bootstrap地址为IAM认证对应的9098端口端点，不要误配成明文9092端口或纯TLS认证的9094端口，端口不匹配会导致SSL握手或鉴权直接失败，触发连接断开。

内容的提问来源于stack exchange，提问作者Pragya Rai